curlのWebSocketコードは、仕様に従って各新しい送信フレームごとに32ビットのマスクパターンを更新していませんでした。代わりに、固定されたマスクを使用しており、それが接続全体を通じて使われていました。予測可能なマスクパターンにより、悪意のあるサーバーが通信している双方の間のトラフィックを誘発し、そのトラフィックが関与するプロキシ（設定済みまたは透過的）によって正当な実際のHTTPトラフィックとして解釈される可能性があります。その内容によってプロキシのキャッシュを汚染できます。その結果、汚染されたキャッシュ内容がそのプロキシのすべてのユーザーに提供されてしまう可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。